GitLab закрыла критическую уязвимость с выполнением кода без аутентификации
Изображение: OpenAI
12 октября GitLab, разработчик одноимённой DevSecOps-платформы, исправила уязвимость максимальной критичности CVE-2026-97229 и призвала администраторов собственных серверов немедленно установить обновления. При определённых условиях ошибка может позволить злоумышленнику удалённо выполнить произвольный код на сервере без аутентификации. Об этом сообщает BleepingComputer.
Ошибка связана с переполнением целого числа в компиляторе регулярных выражений CI/CD, который обрабатывает выражения в файлах конфигурации конвейеров проектов. По объяснению GitLab, для атаки используется специально подготовленное регулярное выражение, которое компонент недостаточно проверяет.
Проблема затрагивает GitLab Community Edition (CE) и Enterprise Edition (EE) в трёх ветках. Исправления вышли в следующих версиях:
- 19.2.8 в ветке 19.2;
- 19.3.4 в ветке 19.3;
- 19.4.2 в ветке 19.4.
Более ранние выпуски этих веток уязвимы. GitLab.com уже работает на исправленной версии, а клиентам GitLab Dedicated ничего делать не нужно.
В январе GitLab уже исправляла CVE-2026-0723, позволявшую обойти двухфакторную аутентификацию при знании идентификатора учётной записи жертвы.
В сентябре компания закрыла другую уязвимость максимальной критичности, CVE-2026-85706: она позволяла без аутентификации читать конфиденциальные данные на серверах, включая учётные данные и другие секреты. На следующий день Агентство США по кибербезопасности и защите инфраструктуры (CISA) включило её в каталог уязвимостей, которые эксплуатируются в реальных атаках.
